Seguridad y protección de datos en Scanara

Los datos de los clientes se almacenan en AWS eu-west-1 (Dublín, Irlanda): resultados de escaneo con breves extractos de código, evaluaciones, expedientes y registros de auditoría. Scanara no conserva una copia completa de tu repositorio. Durante un escaneo, los archivos se leen desde GitHub (EE. UU.) en una memoria temporal en eu-west-1. Fráncfort (eu-central-1) es la región de conmutación prevista; aún no se ha probado una conmutación completa. La analítica web solo se carga si aceptas las cookies y envía datos de uso a Google y Microsoft en EE. UU., sobre la base del Marco de Privacidad de Datos UE-EE. UU. y de las cláusulas contractuales tipo de la UE.

Los datos almacenados se cifran con AES-256. Los datos en tránsito usan TLS 1.2 o superior. El almacén de auditoría y los registros usan claves KMS dedicadas que Scanara gestiona en su propia cuenta de AWS.

El inicio de sesión usa AWS Cognito con seguridad avanzada (autenticación adaptativa, detección de credenciales comprometidas). La autenticación multifactor con una aplicación de autenticación está disponible, pero es opcional; Scanara no la impone. Los clientes Enterprise pueden usar el inicio de sesión único mediante OIDC; SAML está previsto.

Las acciones en Scanara se escriben como eventos en un registro de escritura única (S3 Object Lock en modo de cumplimiento), cada uno con un hash de integridad SHA-256. Scanara conserva estos registros al menos 10 años en todos los planes. Los proveedores de sistemas de IA de alto riesgo deben conservar su documentación durante 10 años desde la introducción en el mercado o la puesta en servicio del sistema (artículo 18, apartado 1, del Reglamento de IA).

Scanara documenta sus medidas de RGPD: un registro de actividades de tratamiento, una evaluación de impacto relativa a la protección de datos para el escaneo de código fuente, evaluaciones de impacto de las transferencias para sus proveedores estadounidenses y un contrato de encargado del tratamiento conforme al artículo 28. Los datos de cuenta y de organización se eliminan o anonimizan en los 30 días siguientes al cierre. Scanara no entrena modelos de IA con el código de los clientes.

Los roles limitan lo que cada usuario puede hacer en una organización: administrador de la organización, responsable de cumplimiento, ingeniero de IA, auditor y lector. Los datos se separan por organización mediante consultas limitadas a la organización y seguridad a nivel de fila. El personal de Scanara accede a AWS mediante IAM Identity Center, sin credenciales de larga duración.

Scanara no tiene hoy ninguna certificación de seguridad. ISO 27001 está en preparación; SOC 2 e ISO/IEC 42001 están previstas, sin fechas publicadas. Está previsto un test de penetración externo; no se ha publicado ninguna fecha. Las certificaciones de AWS cubren solo la infraestructura de AWS.

Compras

El pack de evaluación del proveedor es para equipos de compras

Contiene un cuestionario de seguridad rellenado, un modelo de contrato de encargado del tratamiento, la lista de subencargados, una descripción de la arquitectura y una declaración sobre la ubicación de los datos. Los documentos están en inglés.